Конвейер обмана
Северокорейские оперативники, действующие по заданию Пхеньяна, используют целый арсенал средств, чтобы проникнуть в американские компании. Схема выглядит так: берутся поддельные документы и украденные данные реальных граждан США — иногда целые «личности», купленные на черном рынке. С их помощью злоумышленники проходят первичный отбор и устраиваются на высокооплачиваемые удаленные позиции в IT-секторе. Одна ячейка, за которой журналисты WSJ вели наблюдение, за три с небольшим месяца разослала заявки в более чем тысячу компаний.
На каждом этапе — от составления резюме до итогового собеседования — соискатели активно используют искусственный интеллект. Нейросети пишут убедительные сопроводительные письма и адаптируют резюме под требования конкретного работодателя. На онлайн-собеседованиях кандидаты прямо зачитывают ответы, сгенерированные ChatGPT, либо выводят их на второй монитор.
Когда HR-специалисты научились распознавать такие уловки, в ход пошла технология замены лиц (deepfake). Теперь вместо реального человека на экране может транслироваться подставное видео, синхронизированное с голосом, чтобы обмануть систему видеоидентификации.
Исследователи из компании Nisos отследили деятельность одной ячейки из 22 северокорейских оперативников. За девять месяцев они подали более 166 тысяч заявок в американские компании, провели 21 тысячу собеседований и получили 76 предложений о работе. Это показывает, что схема работает как хорошо отлаженный конвейер, где отказ в одной компании не останавливает процесс — заявки рассылаются тысячами, а успешность внедрения измеряется долями процента.
При этом страдают не только компании, но и обычные американцы, чьи данные были украдены. Имена, номера социального страхования и другие личные данные используются без ведома владельцев. Многие жертвы до сих пор не могут открыть банковский счет, получить кредит, арендовать жилье или устроиться на работу, потому что их «личность» уже занята северокорейским оперативником где-то в другой части страны.
Надежное прикрытие
По данным WSJ, в некоторых случаях для прохождения собеседований нанимаются американские посредники — они выдают себя за кандидатов, а после трудоустройства передают доступ к системе реальным северокорейским специалистам.
Один из ярких примеров — житель Огайо, который рассказал, что его официально наняли на IT-должность с зарплатой $75 тысяч. При этом он лишь изредка появляется на рабочих встречах, а всю основную работу за него выполняют северокорейские специалисты, удаленно получившие доступ к его учетной записи. Заработная плата делится пополам: часть остается американцу за «крышу», остальное уходит в Пхеньян.
После успешного трудоустройства северокорейские айтишники получают доступ к корпоративным системам — от исходных кодов до данных клиентов и коммерческой тайны. Они могут незаметно влиять на разработку продуктов, копировать интеллектуальную собственность или просто собирать разведданные. Причем делают все это без взлома и использования уязвимостей. Идентифицировать таких сотрудников почти невозможно: один человек может работать под несколькими вымышленными именами и одновременно занимать 5−6 должностей в разных компаниях.
ФБР подтвердило, что северокорейские удаленные работники проникли не только в частный сектор, но и в структуры федерального правительства США. Один из таких случаев в настоящее время расследуется властями.
Масштаб и доходы
По оценкам ООН, северокорейские IT-работники, внедренные в западные компании, приносят режиму Ким Чен Ына от $250 до $600 млн ежегодно. Некоторые эксперты называют и более высокие цифры — до $800 миллионов. Это сопоставимо с доходами от экспорта оружия или контрабанды. Отдельные специалисты, работающие на нескольких должностях одновременно, могут зарабатывать до $300 тысяч в год. Для сравнения, средняя зарплата в самой КНДР составляет порядка $100 в месяц.
В ответ на растущую угрозу компании и службы безопасности разрабатывают новые методы проверки. Некоторые компании используют психологические ловушки: например, в ходе собеседования кандидата просят публично оскорбить Ким Чен Ына или высказаться о северокорейском режиме. Если кандидат уклоняется от ответа — это становится поводом для дополнительной проверки. Другие встраивают в вопросы технические детали, которые не могут быть известны человеку, не работающему в сфере, но ИИ часто справляется и с этим.
Специалисты по кибербезопасности рекомендуют американским компаниям комплексный подход по борьбе с этим явлением: регулярную перепроверку уже нанятых сотрудников, обязательную очную идентификацию личности (не только при найме, но и периодически), мониторинг активности в корпоративной сети и блокировку популярных VPN-сервисов, таких как AstrillVPN, которые часто используются северокорейскими оперативниками для маскировки своего местоположения.